CVE-2026-69263 in Flowise
Zusammenfassung
von VulDB • 04.08.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large-Language-Model-Flows (LLM). Vor Version 3.1.3 schränkte die Abhilfemaßnahme für CVE-2025-8943 zwar die Verwendung der Flags -y und --yes bei npx ein, doch packages/components/nodes/tools/MCP/core.ts filterte nur PATH, LD_LIBRARY_PATH, DYLD_LIBRARY_PATH und NODE_OPTIONS basierend auf dem exakten Namen der Umgebungsvariablen. Da npm Konfigurationen aus Variablen mit dem Präfix npm_config_* liest, führte das Setzen von npm_config_yes=true zum Verhalten von --yes, ohne ein blockiertes Flag zu verwenden. Dies verursachte, dass npx das benannte Paket automatisch installierte und ausführte, wenn ein Custom-MCP-Server gestartet wurde. Dieses Problem ist in Version 3.1.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.